Apache 2.4.71 schließt kritische HTTP/2-Lücke

Die Apache Software Foundation hat die Version 2.4.71 des Apache HTTP Server veröffentlicht. Sie schließt unter anderem eine kritische Sicherheitslücke im Modul mod_http2, das für die Unterstützung des Protokolls HTTP/2 zuständig ist. Über die Lücke mit der Kennung CVE-2026-119618 können Angreifer ohne Anmeldung aus der Ferne Code mit den Rechten des Serverprozesses ausführen. Red Hat bewertet sie mit einem CVSS-Wert von 9,8. Laut Red Hat zeigen öffentliche Forschungsergebnisse einen zuverlässigen Exploit gegen einen Server in der Standardkonfiguration mit aktiviertem mod_http2. Angriffe sind bislang nicht bekannt.

Race Condition bei Headern

Ursache ist eine Race Condition in der Funktion assign_headers() von mod_http2. Gemeinsam genutzte Ressourcen werden dabei ohne ausreichende Synchronisierung verwendet, wodurch der interne Heap des Servers beschädigt werden kann. Betroffen sind die Versionen 2.4.55, veröffentlicht im Januar 2023, bis 2.4.70 sowie die eigenständige Variante mod_h2 in den Versionen 2.0.8 bis 2.0.42. Gefährdet sind nur Server, auf denen HTTP/2 aktiviert ist. Das ist bei vielen modernen Konfigurationen der Fall.

Gemeldet hat die Lücke am 26. Oktober der kostenlose, KI-basierte Dienst OSS Scanner von Anthropic, der Open-Source-Projekte auf Schwachstellen untersucht. Unabhängig davon meldeten Anthony Weems und Simon Scannell vom Team Google Cloud Vulnerability Research die Lücke am 3. November.

Zwei weitere Lücken

Version 2.4.71 behebt zudem zwei weitere Schwachstellen. CVE-2026-106023 ist ein Fehler im Modul mod_md, durch den ein Kindprozess abstürzen kann, betroffen sind die Versionen 2.4.30 bis 2.4.70. CVE-2026-109163 ist ein Überschreiben eines einzelnen Bytes auf dem Stack im Modul mod_vhost_alias in den Versionen 2.4.69 und 2.4.70. Bereits im Mai hatte Apache mit Version 2.4.67 eine andere Lücke in HTTP/2 geschlossen. Server mit dieser oder späteren Versionen bis 2.4.70 sind von der neuen Lücke weiterhin betroffen.

HTTP/2 vorübergehend abschalten

Administratoren sollten auf Version 2.4.71 oder ein Paket ihrer Distribution mit der Korrektur aktualisieren. Red Hat hat bereits Updates für mehrere Versionen von Red Hat Enterprise Linux veröffentlicht. Einen offiziellen Workaround nennt Apache nicht. Wer nicht sofort aktualisieren kann, kann HTTP/2 übergangsweise abschalten, indem in der Direktive Protocols nur http/1.1 angegeben wird. Da HTTP/2 sowohl serverweit als auch für einzelne virtuelle Hosts aktiviert sein kann, sollten beide Ebenen geprüft werden. Der Apache HTTP Server ist einer der meistgenutzten Webserver und läuft häufig vor Anwendungen wie WordPress und Joomla.

(red)